🇰🇷 한글 설명
vm2 3.11.7 미만 버전의 CLI 도구에서 샌드박스 탈출 취약점이 발견되었습니다. 공격자가 악성 스크립트 파일을 제공하면 호스트 Node.js 프로세스에서 임의의 코드를 실행하여 fs 및 child_process와 같은 호스트 모듈에 접근할 수 있습니다.
💡 쉬운 설명
안전하게 격리되어 실행되어야 할 프로그램이 보안 벽을 뚫고 컴퓨터 본체에 직접 명령을 내릴 수 있는 문제입니다. 공격자가 만든 파일을 실행하면 해커가 내 컴퓨터의 파일을 읽거나 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
vm2 before 3.11.7 contains a sandbox escape vulnerability in the CLI tool that allows attackers to execute arbitrary code in the host Node.js process. Attackers can supply a malicious script file to the vm2 CLI that uses require(__filename) to re-execute itself in the host realm, bypassing sandbox isolation and accessing host modules like fs and child_process.
📍 영향받는 시스템
vm2 version < 3.11.7
⚔️ 공격 벡터
악성 스크립트 파일을 vm2 CLI 도구에 입력하여 호스트 권한을 획득하는 방식
🛡️ 대응 방법
vm2 버전을 3.11.7 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.11.7보다 낮은지 확인하십시오.
npm list vm2 2>/dev/null | grep -E 'vm2@'